Arrêté du 22 décembre 2021 autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif aux atteintes aux systèmes de traitement automatisé de données dénommé « MISP-PJ »

Article 1 JORFARTI000044559732

Le ministre de l'intérieur (direction générale de la police nationale) est autorisé à mettre en œuvre un traitement de données à caractère personnel, dénommé « MISP-PJ », ayant pour finalité le renforcement de l'efficacité des investigations en matière d'atteintes aux systèmes de traitement automatisé de données, par la centralisation, le recoupement et l'analyse des informations recueillies ou contenues dans les procédures judiciaires ouvertes en la matière au sein des services de la police nationale et de la gendarmerie nationale.

Article 2 JORFARTI000044559733

Peuvent être enregistrées dans le traitement mentionné à l'article 1er les catégories de données à caractère personnel et informations suivantes :

I. - Concernant les personnes physiques ou morales victimes :

1° Nom, prénom(s), dénomination sociale ;

2° Adresses IP des serveurs de commande ou des machines compromis et utilisés pour l'atteinte aux systèmes de traitement automatisé de données ;

3° Numéro de procédure.

II. - Concernant les faits :

1° Date, nature et circonstances des faits ;

2° Données et informations relatives à l'auteur de l'attaque : adresses électroniques, adresses IP, pseudonymes, nom(s) de profil sur les réseaux sociaux ou identifiants, nom(s) de domaine, numéro de port, courriel de demande de rançon, note de rançon, données relatives aux fichiers chiffrés et signature de fichier, adresse de portefeuille de monnaie virtuelle ;

3° Modalités et coordonnées de paiement.

III. - Concernant les services d'enquêtes accédant au traitement :

1° Dénomination du service ;

2° Adresse de courrier électronique de l'agent.

Article 3 JORFARTI000044559734

Les données à caractère personnel et informations mentionnées à l'article 2 sont conservées pendant six ans à compter de leur enregistrement.

Article 4 JORFARTI000044559735

I. - Peuvent accéder aux données à caractère personnel et aux informations mentionnées à l'article 2, à raison de leurs attributions et dans la limite du besoin d'en connaître :

1° Les agents de l'office central de lutte contre la criminalité liée aux technologies de l'information et de la communication de la direction centrale de la police judiciaire, individuellement désignés et habilités par le chef de service ou par un agent ayant reçu délégation à cet effet ;

2° Les agents du centre de lutte contre les criminalités numériques de la direction générale de la gendarmerie nationale individuellement désignés et habilités par le chef de service ou par un agent ayant reçu délégation à cet effet ;

3° Les agents de la brigade de lutte contre la cybercriminalité de la préfecture de police individuellement désignés et habilités par le chef de service ou par un agent ayant reçu délégation à cet effet ;

4° Les magistrats du ministère public mentionnés au premier alinéa de l'article 706-72-1 du code de procédure pénale ainsi que les agents des services judiciaires du tribunal judiciaire de Paris agissant sous leur autorité, individuellement désignés et habilités par le procureur de la République.

II. - Peuvent être destinataires des données à caractère personnel et informations mentionnées à l'article 2, à raison de leurs attributions et dans la limite du besoin d'en connaître :

1° Les agents des services de la police nationale et les militaires de la gendarmerie nationale exerçant des missions de police judiciaire et pour les seuls besoins d'une enquête judiciaire ;

2° Les magistrats du ministère public ainsi que les agents des services judiciaires agissant sous leur autorité autres que ceux mentionnés au I et les magistrats chargés de l'instruction pour les recherches relatives aux infractions et procédures dont ils sont saisis ;

3° Les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers, dans les conditions énoncées à l'article L. 235-1 du code de la sécurité intérieure.

Article 5 JORFARTI000044559738

Les opérations de collecte, de modification, de consultation, de communication, y compris les transferts et d'effacement des données à caractère personnel et informations font l'objet d'un enregistrement. Les opérations de consultation et de communication enregistrées établissent l'identifiant de l'auteur, la date, l'heure, le motif de l'opération et, le cas échéant, les destinataires des données. Ces informations sont conservées pendant six ans.

Article 6 JORFARTI000044559739

I. - Le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 susvisée ne s'applique pas au présent traitement.

II. - Conformément aux dispositions des articles 104 à 106 de la même loi, les droits d'information, d'accès, de rectification, d'effacement et à la limitation des données s'exercent auprès de la direction centrale de la police judiciaire.

Afin d'éviter de gêner des enquêtes, des recherches ou des procédures judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière, les droits de rectification, d'effacement et à la limitation peuvent faire l'objet de restrictions en application du 3° du II et du III de l'article 107 de la même loi.

La personne concernée par ces restrictions exerce ses droits auprès de la Commission nationale de l'informatique et des libertés dans les conditions prévues à l'article 108 de la même loi.

Article 7 JORFARTI000044559741

Le directeur général de la police nationale est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.